ChamelGang: la nuova gang APT che minaccia la Russia.

Redazione RHC : 30 Settembre 2021 11:37

Gli specialisti di sicurezza di Positive Technologies, hanno identificato un nuovo gruppo APT precedentemente sconosciuto chiamato ChamelGang che ha preso di mira obiettivi in Russia del complesso del carburante e dell’energia e l’industria aeronautica.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il gruppo svolge attacchi mirati al furto della proprietà intellettuale all’interno delle reti compromesse. I primi attacchi di questo gruppo sono stati registrati nel marzo 2021.

“Il fatto stesso dell’attacco non è qualcosa di unico: le imprese in quest’area sono tra le tre industrie più attaccate. Allo stesso tempo, tali attacchi portano molto spesso alla perdita di dati o danni finanziari: nell’84% dei casi lo scorso anno gli aggressori miravano specificamente a rubare informazioni”

spiega Denis Kuvshinov, capo del dipartimento di ricerca sulle minacce alla sicurezza delle informazioni presso Positive Technologies.

“Le imprese industriali sono lungi dall’essere sempre in grado di identificare autonomamente un attacco informatico mirato e per molti anni possono rimanere nell’illusione della sicurezza, considerando minima la probabilità che si verifichino eventi inaccettabili. Tuttavia, in pratica, in oltre il 90% dei casi, un utente malintenzionato può penetrare nella rete aziendale di un’impresa industriale e portare al controllo completo dell’infrastruttura dell’organizzazione di destinazione.”.

Il team di risposta agli incidenti IS del centro di esperti di sicurezza di Positive Technologies ( PT Expert Security Center ), mentre conduceva indagini in aziende russe nei settori del carburante, dell’energia e dell’aviazione, ha scoperto questo nuovo gruppo di criminali informatici.

Per ottenere l’accesso alla rete dell’impresa target, il gruppo ha compromesso una filiale utilizzando una versione vulnerabile di un’applicazione web sulla piattaforma open source JBoss Application Server.

Sfruttando la vulnerabilità CVE-2017-12149 chiuso da Red Hat più di quattro anni fa, gli hacker erano in grado di eseguire comandi in remoto su un host. Due settimane dopo, il gruppo è riuscito a compromettere la casa madre: gli aggressori hanno appreso la password dell’amministratore locale su uno dei server windows e sono entrati nella sua rete utilizzando il protocollo desktop remoto (RDP).

Sebbene non rilevati, gli aggressori sono rimasti nella rete aziendale per tre mesi; studiando l’organizzazione, hanno ottenuto il controllo sulla maggior parte delle sue infrastrutture, inclusi server e nodi critici in diversi segmenti.

Nel secondo caso, per penetrare nell’infrastruttura, gli aggressori hanno utilizzato una catena di vulnerabilità correlate in Microsoft Exchange (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) – ProxyShell.

Gli exploit di ProxyShell sono diventati noti nell’agosto di quest’anno e nell’ultimo mese e mezzo è stato attivamente sfruttato da vari gruppi APT.

Gli aggressori hanno avuto accesso ai server di posta dell’azienda utilizzando una backdoor, che al momento dell’attacco non è stata rilevata dalla maggior parte delle soluzioni antivirus. Come nel primo caso, il gruppo mirava a sottrarre dati, tuttavia, la tempestiva individuazione del gruppo APT e il suo contrasto hanno consentito di prevenire il furto di dati: gli aggressori erano presenti nell’infrastruttura dell’organizzazione attaccata solo da otto giorni e non avevano avuto il tempo per infliggere danni significativi.

Una caratteristica distintiva degli attacchi del gruppo ChamelGang è l’uso di nuovi malware precedentemente sconosciuti: ProxyT, BeaconLoader e la backdoor DoorMe.

Quest’ultima è una backdoor passiva, la quale è molto più difficile da rilevare. Inoltre, il gruppo ha già i seguenti malware nel suo toolkit, in particolare FRP, Cobalt Strike Beacon, Tiny shell.

“Tra i campioni di malware che abbiamo trovato, il più interessante è la backdoor di DoorMe. Fondamentalmente, è un modulo IIS nativo che si registra come filtro attraverso il quale vengono elaborate le richieste e le risposte HTTP. Il suo principio di funzionamento non è comune: la backdoor elabora solo quelle richieste in cui è impostato il parametro cookie corretto. Al momento dell’indagine sull’incidente, DoorMe non è stato rilevato dalla protezione antivirus e sebbene la tecnica per installare questa backdoor sia nota, di recente abbiamo visto il suo utilizzo per la prima volta ”

nota Denis Goidenko, capo di il dipartimento di risposta alle minacce alla sicurezza delle informazioni presso Positive Technologies.

“La backdoor offre agli aggressori opportunità abbastanza ampie nei sistemi catturati: è in grado di eseguire comandi tramite cmd.exe e creare un nuovo processo, scrivere file in due modi e copiare timestamp.”

Il gruppo ha preso il nome ChamelGang (dall’inglese camaleonte) per l’utilizzo di domini di phishing e funzionalità del sistema operativo per mascherare malware e infrastrutture di rete.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli